Zertifikatsanforderungen

TLS- und Identitätstoken-Signaturzertifikat-Anforderungen für die Installation der Automation Suite auf EKS/AKS.

Wichtig:

Weitere Informationen zur Verwaltung von Zertifikaten nach der Installation finden Sie unter Verwalten von Zertifikaten.

Die Automation Suite erfordert zum Zeitpunkt der Installation zwei Zertifikate.

• TLS-Zertifikat – Erforderlich für TLS-Kommunikation zwischen dem Client und dem Cluster.
• Identitätstoken-Signaturzertifikat – zum Signieren des Authentifizierungstokens erforderlich.

Wichtig:

Bei der Installation werden selbstsignierte Zertifikate in Ihrem Namen erstellt. Wir empfehlen, sie durch Zertifikate zu ersetzen, die von einer vertrauenswürdigen Zertifizierungsstelle (CA) signiert wurden. Beachten Sie, dass die Zertifikate zum Zeitpunkt der Installation nur generiert werden können, wenn Sie dem Automation Suite-Installationsprogramm während der Installation Administratorrechte erteilen. Wenn Sie dem Installationsprogramm keine Administratorberechtigungen erteilen können, müssen Sie die Zertifikate selbst erstellen und verwalten.

Neben den vorherigen Zertifikaten müssen Sie möglicherweise zusätzliche vertrauenswürdige Zertifikate von Zertifizierungsstellen bereitstellen, wenn der Cluster externer Software vertrauen soll. Beispiele: SQL Server-Zertifizierungsstelle, SMTP-Server-Zertifizierungsstelle, externes S3-kompatibles Objektspeicher-Zertifizierungsstellenzertifikat usw.

Zum Zeitpunkt der Installation müssen Sie Zertifizierungsstellenzertifikate für jede externe Software bereitstellen, die eine sichere TLS-Kommunikation erfordert. Wenn Sie jedoch die TLS-Kommunikation nicht aktiviert haben, können Sie sie nach der Installation konfigurieren.

Anweisungen finden Sie unter Verwalten von Zertifikaten.

Anforderungen an TLS-Zertifikate

Das TLS-Zertifikat muss die folgenden Anforderungen erfüllen:

• Das Dateiformat muss .pem sein, d. h. ein base64-codiertes DER-Zertifikat

• Private Schlüssel sollten mindestens 2048 Zeichen lang sein;

• Erweiterte Schlüsselnutzung: TLS-Webserver-Authentifizierung; erforderlich für den Zugriff auf die Automation Suite auf iOS-Geräten;

• Der Zertifikatschlüssel muss entschlüsselt werden. Wenn der Schlüssel verschlüsselt ist, führen Sie den folgenden Befehl aus, um ihn zu entschlüsseln:

  # replace /path/to/encrypted/cert/key to absolute file path of key
  # replace /path/to/decrypt/cert/key to store decrypt key
  # Once prompted, please entry the passphrase or password to decrypt the key
  
  openssl rsa -in /path/to/encrypted/cert/key -out /path/to/decrypt/cert/key
  

• Sollte einen alternativen Antragstellernamen für alle DNS-Einträge haben, die für die Installation der Automation Suite erforderlich sind. Wenn der FQDN für den Cluster automationsuite.mycompany.com lautet, sollte der SAN des Zertifikats das folgende DNS haben:

  • automationsuite.mycompany.com
  • *.automationsuite.mycompany.com
  Hinweis:

  Wenn der Platzhalter * zu allgemein ist, sorgen Sie alternativ für SAN-Einträge für das folgende DNS:

  • automationsuite.mycompany.com
  • alm.automationsuite.mycompany.com
  • monitoring.automationsuite.mycompany.com
  • insights.automationsuite.mycompany.com
  • apps.automationsuite.mycompany.com

TLS-Zertifikatdatei

Die Automation Suite erfordert zum Zeitpunkt der Installation drei Dateien:

• TLS-Zertifikatdatei – die öffentliche Zertifikatdatei des Servers. Diese Datei muss die vollständige öffentliche Serverzertifikatkette im PEM-Format enthalten: das Blattserverzertifikat, gefolgt von den Zwischenzertifikaten der Zertifizierungsstelle und der Stammzertifizierungsstelle, die den Signaturpfad für dieses Blattzertifikat bilden. Schließen Sie nur Zertifikate ein, die Teil der tatsächlichen Signaturkette des Blattzertifikats sind – keine gleichgeordneten, nicht verwandten, doppelten oder alternativen Zertifikate von Zertifizierungsstellen.
• TLS-Schlüsseldatei – Datei mit privatem Schlüssel für das Serverzertifikat.
• Zertifizierungsstellenpaket (Certificate Authority Bundle) – Dies ist das öffentliche Zertifikat der Zertifizierungsstelle, das zum Signieren oder Ausstellen des TLS-Zertifikats verwendet wird. Diese Datei muss die vollständige Zertifikatkette enthalten, einschließlich der Stammzertifizierungsstelle und aller Zwischenzertifikate. Schließen Sie nur die Zertifikate ein, die zum Signieren des TLS-Serverzertifikats verwendet werden. Das Einschließen von allem anderen führt zu einem Fehler.

Wichtig:

Ab Automation Suite 2.2510.2, ca.crt muss die vollständige Zertifikatkette enthalten, die zum Signieren des TLS-Serverzertifikats verwendet wird, einschließlich aller Zwischenzertifikate und der Stammzertifizierungsstelle. Teilketten werden nicht akzeptiert, und das Einschließen von Zertifikaten außerhalb der eigentlichen Signaturkette des Blattzertifikats – z. B. gleichgeordnete, nicht verwandte Zertifikate, Duplikate oder alternative Zertifikate von Zertifizierungsstellen – führt ebenfalls dazu, dass die TLS-Validierung fehlschlägt. Informationen zur Fehlerbehebung bei Validierungsfehlern von TLS-Zertifikaten finden Sie unter Validierungsfehler bei TLS-Zertifikaten.

Um das CA- und TLS-Zertifikat zu überprüfen, führen Sie den folgenden Befehl auf der Linux-Maschine aus:

# Please replace /path/to/ca-certificate-bundle and /path/to/server-certificate with actual file path.
openssl verify -CAfile /path/to/ca-certificate-bundle /path/to/server-certificate

Wenn Sie Ihren eigenen Zertifikatsmanager verwenden möchten und Ihr TLS-Zertifikat von einer privaten oder nicht öffentlichen Zertifizierungsstelle ausgestellt wird, müssen Sie das Blattzertifikat sowie die Zwischenzertifikate der Zertifizierungsstelle manuell in die TLS-Zertifikatsdatei aufnehmen. Öffentlichen Zertifizierungsstellen wird von Clientsystemen automatisch vertraut, und es sind keine weiteren Aktionen Ihrerseits erforderlich.

Identitätstoken-Signaturzertifikat

Die Automation Suite hat die folgenden Anforderungen in Bezug auf Tokensignaturzertifikate zum Zeitpunkt der Installation:

• Das Dateiformat muss pkcs12 sein, um das Authentifizierungstoken zu signieren;
• Ein Kennwort zum Signieren des Zertifikats ist erforderlich.

Wenn kein Identitätstoken-Signaturzertifikat angegeben wird, verwendet die Automation Suite die Serverzertifikate, um das zum Zeitpunkt der Installation zu generieren.